- Yama var
- Son 7 gün
- CWE-94
CVE-2026-113718
virtualenv'de Xonsh etkinleştirme betiği, betik kodlama çözücüsüne bağlı olarak kod enjeksiyonuna açık
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
virtualenv, izole sanal Python ortamları oluşturmak için kullanılan bir araçtır. 21.14.9 sürümünden önce, POSIX Xonsh etkinleştirme betiğinde quote işlevi, yazdırılabilir ASCII dışı istem veya hedef verilerini UTF-8 kodlu activate.xsh dosyasına yazmak için repr kullanmaktadır. Xonsh ise bu betiği $XONSH_ENCODING değişkenini kullanarak okuyabilmektedir. GBK veya Big5 gibi eski çok baytlı bir kodlama altında, bir UTF-8 son baytı, yanındaki tırnak işaretinden önceki ters eğik çizgiyi tüketebilir; bu da değişmez ifadenin kapanmasına ve kullanıcı oluşturulan betiği çalıştırdığında saldırgan etkisindeki ifadelerin yürütülmesine olanak tanır. Bu sorun 21.14.9 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.9, POSIX xonsh activation quote() uses repr() to write printable non-ASCII prompt or destination data into UTF-8 activate.xsh, while xonsh can read that script using $XONSH_ENCODING. Under a legacy multibyte codec such as GBK or Big5, a UTF-8 trail byte can consume the backslash before an adjacent quote, allowing the literal to close and attacker-influenced statements to execute when the user sources the generated script. This issue is fixed in version 21.14.9.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| pypa virtualenv | < 21.14.9 | 21.14.9 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.